Page 24 - TREND REPORT Juni 2018
P. 24

24 Risikomanagement | Juni 2018
TREND REPORT
DIm Netz, da sind die Räuber
ie paraguayische auf. Ganz am Ende wurde auf den An- Grenzstadt Ciudad droid-Geräten ein Spionageprogramm del Este liegt im übermittelt. Ein weiteres Beispiel be- Dreiländereck zwi- schreibt Timo Ste ens, der seit vielen schen Paraguay, Ar- Jahren Hackerangri e analysiert, in
gentinien und Brasilien. Dort ist nicht seinem Buch „Auf der Spur der Ha-
viel vom südamerikanischen Flair vie- ler Reiseprospekte zu erkennen. Denn die Stadt lebt vor allem vom Schmug- gel. Also kein Ort, an dem sich Touris- ten unbedingt aufhalten müssen. Im vergangenen Jahr machte Ciudad del Este mit einer anderen Geschichte auf sich aufmerksam und gelangte so über die Nachrichten bis in die deutschen Wohnzimmer. Hintergrund waren schwer bewa nete Räuber, die sich den Weg zum Tresor eines Geldtrans- portunternehmens freischossen und sprengten. Von mehreren Millionen US-Dollar Beute war die Rede.
Die Räuber fuhren im wahrsten Sinne des Wortes schwere Geschütze für ihren Raubzug auf und hinterließen eine Schneise der Verwüstung mit wilder Schießerei und Verfolgungsjagd. Weit- aus ruhiger und präziser gehen demge- genüber moderne Diebe vor. Deren Ziel ist nicht das Erstürmen von Tresorräu- men, sondern der leise und zugleich lohnendeRaubzug–ohneTrommelfeu- er und eher im Verborgenen. Gemeint sind die zahllosen Hackerangri e und Diebeszüge in allen Branchen. Professi- onelle Angri e, sogenannte „Advanced Persistent  reats“, tre en heutzutage nicht nur Unternehmen, sondern auch Regierungen und immer häu ger auch kritische Infrastrukturen, wie Netzbe- treiber, Flughäfen oder Banken. Für die Kriminellen nach Au assung des Eh- renvorsitzenden des Vorstandes des Frankfurter Instituts für Risikomanage- ment und Regulierung e. V. (FIRM), Wolfgang Hartmann, ein lukratives Ge- schäft. Die Vorteile für moderne Gangs- ter liegen seiner Meinung nach auf der Hand: „Die potenziellen Gewinne von Kriminellen durch Cybercrime sind hoch, die Finger muss man sich nicht mehr schmutzig machen und auch nicht Leib und Leben Dritter gefähr- den.“ Und Hartmann prognostiziert: „Es ist nur noch eine Frage der Zeit, bis eine Großbank ihre Geschäftstätigkeit durch Ausfälle im Zuge eines Cyber- crime-Angri s einstellen muss.“
Gefragt: Ganzheitliche Sicht, ganzheitliches Risikomanagement
Nun ist das  ema Cybergefahren kein ganz neues mehr und doch erstaunt es immer wieder, wie selbst große Kon- zerne mit ausgewiesenen Informations- sicherheitsprozessen und Risikoma- nagement- sowie Complianceabteilun- gen in die Falle von Hackern tappen. Die Bandbreite der Einfallstore für di- gitale Gauner, Spione und Saboteure ist groß – von mangelnden Sicherheits- prozessen und -updates über veraltete und o ene Systeme bis hin zum Social Engineering.
Apropos Social Engineering. Was in der Praxis häu g unterschätzt wird, ist die Phase, in der Täter Informationen über ihre Zielobjekte sammeln. Hierbei fal- len in der Regel nur bedingt Spuren an. In der Praxis existieren hier höchst un- terschiedliche Akteure. Exemplarisch seien hier die Desert Falcons genannt. Eine Gruppe von Cybersöldnern, die vom Nahen Osten aus agieren und eine ganze Reihe verschiedener Methoden nutzen. So hat die Gruppe vielfältige Erfahrungen im Bereich des Social En- gineerings, verwendet Malware für Windows-Systeme, mobile Malware für Android-Geräte, Infektionsvektoren, einschließlich Phishing-E-Mails, ge- fälschter Webseiten und falscher Social- Media-Konten. Zu den Opfern zählen sowohl Militär und Regierung als auch Finanz- und Handelsunternehmen, Forschungs- und Bildungsinstitutionen, Energieunternehmen und viele weitere Branchen. So gri en im Jahr 2016 die Desert Falcons die Android-Smartpho- nes von israelischen Soldaten an, indem sie zuvor eine aufwendige Social-Engi- neering-Kampagne gestartet hatten. Konkret legten die Angreifer bei Face- book gefälschte Pro le von jungen Frauen an.
Anschließend nahmen die nicht real existierenden Frauen über die Face- book-Messenger-Funktion Kontakt auf und bauten über einen recht lan- gen Zeitraum ein Vertrauensverhältnis
cker“: Die Hacker-Gruppe Lotus Blos- som verschickte im Jahr 2016 gefälsch- te Einladungen für eine Sicherheits- konferenz des Sicherheitsunternehmens Palo Alto. Empfänger waren primär Teilnehmer aus den vergangenen Jah- ren. Angehängt war ein Word-Doku- ment, das eine bekannte Schwachstelle in Windows ausnutzte. Wenn der Empfänger das Dokument ö nete, wurde unbemerkt der Emissary-Troja- ner installiert.
Deutlich wird in beiden Fällen, dass die Ursache für den erfolgreichen An- gri  im Ausnutzen eines Vertrauens- verhältnisses lag. Eine rein technische Maßnahme hätte den Angri  nur be- dingt verhindern können.
Silostrukturen als Einladung für Täter
In der Praxis zeigt sich, dass viele Un- ternehmen auf eine komplexe Ver-  echtung aus eigenen Lösungen und Standardsoftware-Programmen zurück- greifen, die über Jahre gewachsen ist. Dadurch entstehen viele Insellösungen und Silos, die keine einheitliche Da- tenerfassung, Dokumentation und In- terpretation ermöglichen. Für Risiko- manager und Entscheider lassen sich daraus keine (oder nur schwer) valide Informationen zur Unternehmens- steuerung ziehen. Mit anderen Wor- ten: Das Unternehmen und seine Füh- rungsmannschaft bewegen sich im Blind ug durch die Risikowelt.
Wichtig ist es daher, bessere Vorhersa- gen tre en zu können. Dies erscheint umso dringlicher, als neue Technologi- en – wie Blockchain, Virtual Reality oder Machine Learning – immer mehr Branchen durchdringen. Was es be- deutet, ein Unternehmen heute vor- ausschauend zu steuern, erklären Gün- ther Angerbauer und Markus Müller, Geschäftsführer der calpana business consulting GmbH, wie folgt: „Infolge- dessen könnten die IIoT-basierten Ri-
Der Autor
Frank Romeike
zählt internatio-
nal zu den renom-
miertesten und
führenden Exper-
ten für Risiko-
und Chancenma-
nagement. Er ist Gründer des Kompetenzzentrums RiskNET – The Risk Management Network sowie Geschä sführer und Eigen- tümer der RiskNET GmbH.










































































   22   23   24   25   26